WordPress Core 6.8 - 7.0.1 - Unauthenticated SQL Injection via author__not_in Parameter (inyeccion SQL) - version 6.8.6

Resumen ejecutivo

Se ha identificado una vulnerabilidad de inyección SQL no autenticada en las versiones de WordPress 6.8 a 7.0.1, que permite a un atacante manipular consultas a la base de datos. Este fallo, clasificado como de alta severidad (CVE-2026-60137), puede comprometer la integridad de los datos y la seguridad del sitio.

Contexto técnico

La vulnerabilidad se presenta a través del parámetro 'author__not_in', permitiendo a un atacante ejecutar consultas SQL maliciosas sin necesidad de autenticación. Esto expone la base de datos a manipulaciones no autorizadas, afectando la integridad de la información.

Impacto potencial

El impacto en el negocio puede ser significativo, ya que un atacante podría acceder a datos sensibles o modificar información crítica. Esto no solo afecta la seguridad del sitio, sino que también puede dañar la reputación de la empresa y resultar en pérdidas económicas.

Vector de explotación

Los atacantes suelen explotar esta vulnerabilidad enviando solicitudes HTTP manipuladas que incluyen el parámetro vulnerable, lo que les permite ejecutar comandos SQL arbitrarios.

Mitigación recomendada

Actualizar a la versión 6.8.6 o superior de WordPress para cerrar la vulnerabilidad. Revisar los registros de acceso y actividad para detectar posibles intentos de explotación. Implementar medidas de seguridad adicionales, como firewalls y plugins de seguridad, para proteger el sitio.

Señales de detección

Señales a observar incluyen patrones inusuales en los registros de acceso, como múltiples solicitudes al parámetro 'author__not_in' con valores sospechosos, así como errores SQL en los logs del servidor.

Alcance afectado

Las versiones de WordPress desde la 6.8 hasta la 7.0.1 son vulnerables. Se recomienda verificar cualquier instalación que utilice estas versiones y aplicar las actualizaciones pertinentes.